멀웨어를 배포하는 데 큰 돈을 들이지 마십시오.

버클리 캘리포니아 대학의 전기 공학 및 컴퓨터 과학 교수 인 Vern Paxson은 여가 시간에 인터넷을 소유하는 방법이라는 제목의 2002 년 논문의 보안 커뮤니티에서 유명합니다. Code Red 및 Nimda 웜에 대한 자세한 분석을 바탕으로이 논문은 사이버 "질병 통제 센터"의 필요성을 촉진했습니다. 요즘 Paxson은 대규모 보안 문제인 침입을 처리하기위한 다른 모드를 찾고 있습니다. 악성 및 원치 않는 소프트웨어에 관한 제 10 회 국제 컨퍼런스 (MalCon 2015)에서 그의 기조 연설은 저와 참석자들에게이 접근 방식의 직설성에 깊은 인상을주었습니다.

여가 시간을 크게 늘리십시오

멀웨어 산업에서 큰 돈을 벌고 싶습니까? 코더 일 필요는 없습니다. 이러한 기술이 있더라도 맬웨어 생성 및 배포의 모든 측면을 배울 필요는 없습니다. 맬웨어 생태계에는 다양한 작업이 있습니다.

이 생태계의 핵심 인물은 비즈니스는 알고 있지만 코딩은하지 않는 브로커입니다. 그는 두 종류의 고객이 있습니다. 맬웨어 코더에는 많은 소비자 PC에 설치하려는 불쾌한 소프트웨어가 있습니다. 그것은 가짜 바이러스 백신, 랜섬웨어, 봇넷 구성 요소 일 수 있습니다. 그런 다음 보호되지 않은 시스템에 임의의 소프트웨어를 설치할 수있는 리소스를 보유한 코더 계열사가 있습니다. 드라이브 바이 다운로드, 스팸 및 피싱과 같은 기술을 사용하여 대상 시스템에서 다운로더를 공격합니다.

이제 바퀴가 돌기 시작합니다. 멀웨어 코더는 가능한 많은 시스템에 코드를 설치 한 것에 대해 브로커에게 비용을 지불하기로 계약했습니다. 계열사는 다운로더를 최대한 많은 시스템에 설치합니다. 다운로더는 코더에서 멀웨어를 제공하는 브로커 (아마도 여러 인스턴스)에 연결합니다. 그리고 계열사는 설치 수에 따라 요금을받습니다. 이 PPI (Pay Per Install) 시스템은 누구나 비용을 부담하며 이러한 네트워크는 엄청납니다.

팍슨은 "여기 몇 가지 광채가있다"고 말했다. "브로커는 아무것도하지 않고, 침입하지도 않고, 익스플로잇도 알아 내지 않습니다. 브로커는 중개인이며 이익을 가져옵니다. 제휴사는 악당과 협상하거나 침입 한 후해야 할 일을 알 필요가 없습니다. 모든 회원은 자신의 역할을 수행해야합니다."

나쁜 녀석은 나쁜 보안을 가지고

Paxson은“역사적으로 네트워크 공격의 탐지는 몰락 한 게임이었다. 한 번의 공격을, 다른 공격이 발생합니다. 이길 수있는 게임이 아닙니다.

그의 팀은이 PPI 시스템에 대해 다른 접근 방식을 시도했습니다. 다양한 다운로더의 샘플을 캡처하고 리버스 엔지니어링하여 각 브로커와 통신하는 방법을 결정했습니다. 이 정보로 무장 한 이들은 다운로드 가능한 맬웨어에 대한 요청으로 브로커를 공격 할 수있는 시스템을 고안했습니다. Paxson은이 기술을 맬웨어 브로커를 "우유"라고합니다.

팍슨은“이것은 실패 할 것이라고 생각한다. "브로커에는 일종의 인증 시스템이 있습니까, 아니면 속도 제한이 있습니까?" 그러나 밝혀졌지만 그렇지 않습니다. "악성 프로그램이 아닌 사이버 범죄 요소는 자체 보안면에서 10 년이되었을 것입니다. "그들은 멀웨어 대향이 아니라 고객 대면입니다." 제휴사가 다운로드에 대한 크레딧을 청구하는 두 번째 상호 작용이 있습니다. 팍슨 팀은 자연스럽게 그 단계를 건너 뛰었습니다.

5 개월 동안이 실험은 4 개의 제휴 프로그램에서 9, 000 개의 서로 다른 악성 코드 군을 대표하는 백만 개의 바이너리를 생성했습니다. 이 팀은 가장 일반적인 20 가지 맬웨어 제품군 목록과 관련하여 이러한 종류의 배포가 맬웨어 배포에있어 최고의 벡터가 될 수 있다고 판단했습니다. Paxson은“우리는 샘플이 VirusTotal보다 약 일주일 앞선 것으로 나타났습니다. "우리는 최신 정보를 얻고 있습니다. 중개인이 푸시하려는 즉시, 우리는 그것을 받고 있습니다. 일단 VirusTotal에 접속하면 푸시하지 않습니다."

우리는 무엇을 더 침투 할 수 있습니까?

Paxson 팀은 다양한 서비스를위한 실무 계정을 판매하는 웹 사이트를 도입했습니다. 그는 "그들의 범죄 만이 서비스 약관을 위반하고 있기 때문에"계정이 완전히 유효하고 정확하게 불법이 아니라고 지적했다. Facebook과 Google은 전화 확인이 필요하기 때문에 천당 비용이 가장 많이 듭니다. 트위터 계정은 비싸지 않습니다.

트위터의 허락하에 리서치 그룹은 대량의 가짜 계정을 구입했습니다. 트위터에서 제공 한 메타 데이터를 포함한 계정을 분석하여 99.462 %의 정확도로 동일한 자동 등록 기술을 사용하여 생성 된 계정을 탐지하는 알고리즘을 개발했습니다. 트위터는이 알고리즘을 사용하여 계정을 삭제했습니다. 다음날, 계정 판매 웹 사이트는 재고가 없다고 발표해야했습니다. Paxson은“처음 사용시 계정을 종료하는 것이 더 좋았을 것입니다. "그것은 혼란을 야기하고 실제로 생태계를 훼손했을 것입니다."

남성용 보조제, "실제"롤렉스 등을 판매하기 위해 반드시 스팸 서비스를 받았습니다. 공통점은 실제로 지불을 수락하고 제품을 배송해야한다는 것입니다. 스팸을받은 편지함에 가져오고, 구매를 처리하고, 제품을받는 데 관련된 많은 링크가 있습니다. 실제로 일부 법적 품목을 구매함으로써이 시스템의 취약한 링크가 신용 카드 거래를 지우고 있음을 발견했습니다. Paxson은 "스팸 ​​급증 봇넷을 방해하려고 시도하기보다는 유용하지 않다"고 말했다. 어떻게? 그들은 신용 카드 제공 업체가 아제르바이잔, 라트비아, 세인트 키츠 네비스에있는 3 개의 은행을 블랙리스트에 올릴 것을 확신시켰다.

테이크 아웃은 무엇입니까? Paxson은 "실제로 대규모 인터넷 공격을 통해 침입을 방지 할 수있는 쉬운 방법은 없습니다. 침입은 각 엔드 포인트를 보호하는 것보다 훨씬 효과적입니다."라고 Paxson은 말했습니다.

MalCon은 약 50 명의 참석자가 참석하는 매우 작은 보안 회의로 학계, 산업계, 언론계 및 정부를 하나로 묶습니다. Brandeis University와 IEEE (Institute of Electrical and Electronics Engineers)의 지원을받습니다. 올해의 스폰서는 Microsoft와 Secudit을 포함합니다. 몇 년 후 MalCon의 여러 논문이 Black Hat 컨퍼런스에서보다 성숙한 연구로 등장한 것을 보았으므로 여기에 제시된 내용에주의를 기울입니다.